მოქმედი ჩარჩო და კანონის მიზანი
საქართველოში კიბერუსაფრთხოების სფეროს დღეს აწესრიგებს ინფორმაციული უსაფრთხოების შესახებ კანონი — ცალკე „კიბერუსაფრთხოების შესახებ“ კანონი ჯერ არ არის მიღებული და სწორედ ეს კანონი წარმოადგენს მოქმედ რეჟიმს. კანონის მიზანია ხელი შეუწყოს ინფორმაციული უსაფრთხოების დაცვის ქმედით განხორციელებას, დააწესოს საჯარო და კერძო სექტორების უფლება-მოვალეობები ამ სფეროში და განსაზღვროს სახელმწიფო კონტროლის მექანიზმები. კანონის ჩარჩო ვრცელდება კრიტიკულ ინფორმაციულ სისტემებსა და მათ სუბიექტებზე და ქმნის იმ სამართლებრივ საფუძველს, რომელზეც კრიტიკული ინფრასტრუქტურის დაცვის კონკრეტული ვალდებულებები აწყობილია.
ძირითადი ცნებები და სუბიექტთა კატეგორიები
კანონის მე-2 მუხლი განმარტავს საკვანძო ცნებებს: ინფორმაციული უსაფრთხოება უზრუნველყოფს ინფორმაციისა და სისტემების წვდომის, ერთიანობის, ავთენტიფიკაციის, კონფიდენციალურობისა და განგრძობადი მუშაობის დაცვას; კიბერშეტევა არის ელექტრონული მოწყობილობის ან ქსელის გამოყენება კრიტიკულ სისტემაში შემავალი სისტემების მთლიანობის დარღვევის ან ინფორმაციის უკანონოდ მოპოვების მიზნით; კომპიუტერული ინციდენტი ხელყოფს ინფორმაციის კონფიდენციალურობას, მთლიანობას ან ხელმისაწვდომობას. კრიტიკული ინფორმაციული სისტემა არის სისტემა, რომლის უწყვეტი ფუნქციონირება მნიშვნელოვანია თავდაცვისთვის, ეკონომიკური უსაფრთხოებისთვის, სახელმწიფო ხელისუფლების ან საზოგადოების ნორმალური ფუნქციონირებისთვის. სუბიექტები იყოფა სამ კატეგორიად: პირველი — სახელმწიფო და მუნიციპალიტეტის ორგანოები და სახელმწიფო საწარმოები, რომლელიც შექმნილია სახელმწიფოს 50%-ზე მეტი მონაწილეობით; მეორე — ელექტრონული კომუნიკაციის კომპანიები; მესამე — კერძო სამართლის იურიდიული პირები. ნუსხას ამტკიცებს მთავრობა იუსტიციის სამინისტროს წარდგინებით, თავდაცვის, შინაგან საქმეთა სამინისტროებთან და სახელმწიფო უსაფრთხოების სამსახურთან შეთანხმებით.
მოქმედების სფერო, გამორიცხვები და უსაფრთხოების პოლიტიკა
კანონის მე-3 მუხლით მისი მოქმედება ვრცელდება სუბიექტზე და მასთან დასაქმების, სტაჟირების ან სახელშეკრულებო ურთიერთობით დაკავშირებულ ორგანიზაციებზეც. ნუსხის შედგენისას ითვალისწინება შეფერხების სიმძიმეს, სავარაუდო ეკონომიკურ ზარალს, მომსახურების აუცილებლობას, მომხმარებელთა რაოდენობას და სუბიექტის ფინანსურ მდგომარეობას. კანონი არ ვრცელდება მასმედიაზე, გამომცემლობათა რედაქციებზე, სამეცნიერო, საგანმანათლებლო, რელიგიურ და საზოგადოებრივ ორგანიზაციებზე და პოლიტიკურ პარტიებზე, თუმცა ნებისმიერ იურიდიულ პირს უფლება აქვს ნებაყოფლობით აიღოს ამ კანონით განმდიდრებული ვალდებულებები; კომერციული ბანკი, რომელიც სუბიექტი არ არის, ხელმძღვანელობს ეროვნული ბანკის წესებით. კანონი არ შეეხება ინფორმაციის თავისუფლებისა და პერსონალური მონაცემების დაცვის ნორმებს.
კანონის მე-4 მუხლით სუბიექტი ვალდებულია მიიღოს შინასამსახურებრივი გამოყენების წესები, რომლებიც განსაზღვრავს ორგანიზაციის ინფორმაციული უსაფრთხოების პოლიტიკას. პოლიტიკა უნდა აკმაყოფილებდეს მინიმალურ მოთხოვნებს, რომლებიც იდგება საერთაშორისო სტანდარტიზაციის ორგანიზაციის, აშშ-ის სტანდარტებისა და ტექნოლოგიების ეროვნული ინსტიტუტისა და ინფორმაციული სისტემების აუდიტისა და კონტროლის ასოციაციის სტანდარტების მხედველობაში მიღების გზით. მიღებული წესები განსახილველად წარედგინება პირველი და მეორე კატეგორიის სუბიექტებს ოპერატიულ-ტექნიკურ სააგენტოს, მესამეს — ციფრული მმართველობის სააგენტოს, თავდაცვის სფეროს კი — კიბერუსაფრთხოების ბიუროს; სამივე ორგანო აანალიზებს დოკუმენტებს და ხარვეზების გამოსასწორებლად გასცემს სავალდებულო მითითებებს.
ინციდენტებზე რეაგირების სისტემა
კანონის მე-8 მუხლით კიბერსივრცეში ინციდენტების მართვას ახორციელებს ციფრული მმართველობის სააგენტოს კომპიუტერულ ინციდენტებზე დახმარების ჯგუფი. პრიორიტეტულ საფრთხეებს მიეკუთვნება ადამიანთა სიცოცხლესა და ჯანმრთელობას, სახელმწიფო ინტერესებს ან თავდაცვისუნარიანობას დამაფრთხობელი კიბერშეტევა, სუბიექტის სისტემებზე შეტევა, ფინანსურ რესურსებზე ან საკუთრებაზე საფრთხე და სხვა საკმარისად სერიოზული ქმედება. მე-10 მუხლით სუბიექტი ინციდენტს აიდენტიფიცირებს ქსელური სენსორის გამოყენებით და იდენტიფიცირების შესახებ დაუყოვნებლივ აცნობებს შესაბამის დახმარების ჯგუფს. ჯგუფი შეისწავლის ინციდენტს და სუბიექტს წარუდგენს შესასრულებლად სავალდებულო მითითებებს, რომლებზეც სუბიექტი ვალდებულია გონივრულ ვადაში უპასუხოს. თავდაცვის სფეროში ინციდენტებს მართავს კიბერუსაფრთხოების ბიუროს ჯგუფი, რომელსაც წვდომა აქვს სენსორზე და სუბიექტის აქტივებზე; მისი მითითებებზე რეაგირების ვადა არაუმეტეს 1 თვისაა. ჯგუფები ქმნიან ინციდენტების შესახებ ინფორმაციის გაზიარების ერთიან პლატფორმას.
პასუხისმგებლობა დარღვევისთვის
კანონის მუხლი 10-8 ადმინისტრაციულ სანქციებს აწესრიგებს: კომპიუტერული ინციდენტის იდენტიფიკაციის შესახებ შეუტყობინებლობა, სავალდებულო მითითების შეუსრულებლობა ან განხორციელებული ღონისძიებების შესახებ ინფორმაციის წარუდგენლობა პირველი კატეგორიის სუბიექტისთვის იწვევს გაფრთხილებას ან დაჯარიმებას 5 000 ლარის ოდენობით, ხოლო იმავე დარღვევის განმეორება 1 წლის განმავლობაში — 10 000 ლარის ჯარიმას. მესამე კატეგორიის სუბიექტებისთვის იგივე სანქციებია გათვალისწინებული. ოპერატორის კონკრეტული ვალდებულებები — აუდიტი, მენეჯერის და სპეციალისტის დანიშვნა, აქტივების მართვა — კანონის სხვა მუხლებითაა დაწესებული და ცალკე გვერდზეა განხილული.
ხშირად დასმული კითხვები
რომელი კანონი არეგულირებს კიბერუსაფრთხოებას საქართველოში?
ინფორმაციული უსაფრთხოების შესახებ კანონი — ცალკე კიბერუსაფრთხოების კანონი ჯერ არ არის მიღებული და მოქმედი რეჟიმი სწორედ ამ კანონს ემყარება.
ვინ არის სამი მარეგულირებელი უწყება?
პირველ და მეორე კატეგორიებზე — ოპერატიულ-ტექნიკური სააგენტო, მესამეზე — ციფრული მმართველობის სააგენტო, თავდაცვის სფეროზე — კიბერუსაფრთხოების ბიურო.
ვის არ ეხება კანონი?
მასმედიას, გამომცემლობათა რედაქციებს, სამეცნიერო, საგანმანათლებლო, რელიგიურ და საზოგადოებრივ ორგანიზაციებსა და პოლიტიკურ პარტიებს.
რა ჯარიმა მოჰყვება ინციდენტის დაუმალავად დატოვებას?
გაფრთხილება ან 5 000 ლარის ჯარიმა; განმეორების შემთხვევაში — 10 000 ლარის ჯარიმა.
როგორ დაგეხმარებით Legal.ge-ზე
Legal.ge-ზე ვეხმარებით ორგანიზაციებს განსაზღვრონ საკუთარი კატეგორია და ვალდებულებები, მოვამზადებთ უსაფრთხოების პოლიტიკას და დავეხმარებით მარეგულირებელ უწყებებთან ურთიერთობაში. მიმართეთ ჩვენს გუნდს კიბერუსაფრთხოების კანონმდებლობის ნებისმიერ საკითხზე.